02 Sokolov
- 1. Тестирование на проникновение как имитация действий мотивированного и целеустремленного нарушителя Соколов Андрей Викторович
- 2. Что такое тестирование на проникновение? В общепринятом смысле, тестирование на проникновение – исследование средств защиты с целью выяснения способности этих средств защиты осуществлять свои непосредственные функции Пассивное тестирование – сканирование и анализ, активное тестирование – ВЗЛОМ В моём понимании, тестирование на проникновение – это имитация действий целеустремлённого нарушителя, мотивированного на получение доступа к определённому объекту
- 3. Типовая модель нарушителя Типовая классификация нарушителей
- 4. Типовая модель нарушителя Уровень квалификации нарушителя (хакер-одиночка – группа хакеров – профессионал – группа профессионалов – конкуренты и спецслужбы) Уровень финансовых возможностей нарушителя Уровень осведомлённости нарушителя (уровень знаний нарушителя об организации информационной инфраструктуры) Используемые методы и средства Мотивация нарушителя Типовая классификация нарушителей
- 5. Настоящий нарушитель Настоящий нарушитель заинтересован в получении доступа к ОБЪЕКТУ ВОЗДЕЙСТВИЯ и совершения с данным объектом каких-либо действий:
- 6. Настоящий нарушитель Прежде всего, целеустремлён и мотивирован. Есть цель, и все действия нарушителя будут подчинены её достижению. Нарушитель не может подвергать себя риску быть обнаруженным, поэтому ВЗЛОМ он будет совершать лишь в случае возникновения непреодолимых препятствий в процессе достижения цели как крайнюю и наиболее опасную меру. Будет пользоваться методами работы, не отражёнными в типовых методиках проведения тестирования на проникновение. Будет пользоваться программным обеспечением (как приобретённым на «чёрном рынке» так называемого «пацанского ПО», так и создаваемым самостоятельно), позволяющим игнорировать, аккуратно и эффективно обходить современные средства защиты локального и корпоративного уровня. Вероятнее всего, не будет интересоваться конъюнктурными и нестабильными технологическими и эксплуатационными уязвимостями, и будет ориентирован на уязвимости более фундаментального порядка: организационные и архитектурные.
- 7. Руткиты: краеугольный камень успешного проникновения
- 8. Пространство воздействия Лобовой (локальный или удалённый) вектор – непосредственно ВЗЛОМ Интерактивный вектор Физический вектор
- 9. Пространство воздействия Тестирование на проникновение к определенному объекту
- 10. Лобовое воздействие Малоэффективен и практически не результативен со стороны «внешнего» нарушителя Эффективен и практически всегда результативен со стороны «внутреннего» нарушителя Исключение: компании, существенная ( или даже бОльшая) часть критичных информационных ресурсов которой расположены и функционируют непосредственно в открытом Интернете Лобовое воздействие == взлом
- 11. Концепция защиты внешнего периметра Межсетевые экраны корпоративного уровня. Пакетная фильтрация входящего трафика Средства пакетной и контентной фильтрации исходящего трафика Системы обнаружения вторжений, системы противодействия вторжениям ( IDS/IPS -системы) Антивирусное ПО корпоративного уровня Разнообразные средства мониторинга информационной активности (от бесплатных любительских до таких «тяжёлых» как ArcSight) Почти всегда есть:
- 12. Концепция защиты внешнего периметра Средств персональной проактивной защиты рабочего места Исправно работающих серверов обновлений ПО ( Windows Software Update Services) – чем «краснее» отчёт XSpider’ а, тем хуже работает WSUS Внятной и хорошо работающей корпоративной политики безопасности: На корпоративном уровне На уровне частных регламентов и инструкций Почти никогда нет:
- 13. Интерактивное воздействие Лобовое воздействие – сценарий проникновения, инициированный и совершенный взломщиком Интерактивное воздействие – сценарий проникновения, инициированный взломщиком, но осуществлённый «инсайдером»: лицом, имеющим непосредственный доступ к искомому информационному ресурсу. Социальная инженерия – механизм групповой или индивидуальной психологической манипуляции (навязывания мотивации) над физическими лицами, имеющими непосредственный доступ к информационным ресурсам и прочим объектам защиты
- 14. Физическое воздействие Непосредственное физическое воздействие – сценарий проникновения, при котором «внешний» нарушитель становится «внутренним», физически пересекая периметр объекта защиты Опосредованное физическое воздействие – физический контакт с лицом, имеющим легитимный доступ внутрь физического периметра объекта защиты
- 15. Классификация уязвимостей Лобовой вектор воздействия: эксплуатационные и технологические уязвимости Эксплуатационные: плохие пароли ; настройки по умолчанию ; избыточное программное обеспечение ; Технологические: лобовые уязвимости программного обеспечения Интерактивный и физический векторы воздействия: архитектурные и организационные уязвимости Архитектурные: фундаментальные, трудно контролируемые свойства объектов защиты Организационные: слабая или отсутствующая политика безопасности
- 16. Локальные администраторы VIP- пользователи, top- менеджмент: те, кто принимают законы, обычно не выполняют их сами Системные администраторы, сотрудники IT- отделов: те, кто охраняют законы, обычно не подчиняются им Разработчики ПО: подобного рода деятельность невозможна без прав локального администратора Пользователи программного обеспечения (как правило, отечественного производства), использующего средства контроля целостности программного кода, которое нуждается в правах локального администратора – бухгалтерский, особый банковский софт
- 17. ARP Poison
- 18. ARP Poison: возможности Прослушивание трафика Произвольная модификация трафика Изоляция произвольных узлов, произвольное внедрение таких сервисов как ложные DHCP и DC, и т.д. Диссекция криптографических протоколов (при наличии приватного ключа серверной стороны – прозрачная диссекция) Наиболее гибкая и расширяемая реализация ARP Poison – программа ettercap Внедрение произвольного кода
- 19. Пример внедрения бинарного кода
- 20. Что получает Заказчик? Тестирование на проникновение как «страшилка» для руководства: наглядная иллюстрация того, насколько быстро, легко и дёшево потенциальный злоумышленник может установить контроль над наиболее ценными информационными ресурсами Компании Детальный отчёт о проведённом тестировании на проникновение с соответствующими рекомендациями, как правило, сводящимися к: Необходимости проведения комплексного аудита информационной безопасности Необходимости пересмотра политики информационной безопасности Компании (или, в ряде случаев, создания такой политики с нуля)
- 21. Наши контакты 117105, г. Москва, ул. Нагатинская, д. 1 Телефон: +7 (495) 980-67-76 Факс: +7 (495) 980-67-75 http://www.DialogNauka.ru e-mail: sav @DialogNauka.ru